Diligência devida impulsionada por AI: comprimindo CDD, FDD e TDD sem perder o rigor

Introdução

A diligência devida é um exercício de dúvida controlada. Um comitê de investimentos pergunta se o negócio, os resultados e a tecnologia descritos por um vendedor resistem ao escrutínio antes de o capital ser comprometido. A resposta é montada a partir de registros imperfeitos, acesso restrito, populações variáveis de data room, explicações da administração e julgamento especializado. A inteligência artificial acrescenta uma nova camada analítica a esse processo. Ela pode ler, classificar e comparar grandes coleções de documentos; propor mapeamentos entre dados inconsistentes; redigir resumos de questões; e direcionar revisores para exceções. Ela também pode produzir afirmações confiantes sem suporte, confundir períodos ou entidades, ignorar uma população ausente e fazer um cálculo parecer coerente quando seus insumos estão errados.

As evidências atuais de mercado mostram que AI entrou no trabalho de transações. A pesquisa de 2026 da KPMG abrangeu 700 tomadores de decisão seniores de M&A em 20 países e jurisdições. Cinquenta e seis por cento relataram o uso de AI agêntica em diligência devida e avaliação. Na mesma pesquisa, 59 por cento relataram ganho de eficiência superior a 10 por cento em inteligência competitiva e análise de mercado, enquanto 17 por cento relataram ganho de eficiência superior a 25 por cento em modelagem de avaliação e planejamento de cenários e em modelagem e acompanhamento orçamentário [1,2]. São achados relatados pelos respondentes. Eles não estabelecem produtividade causal, redução de erros ou desempenho de investimento.

A mensuração é materialmente menos madura que a adoção. O Thomson Reuters Institute pesquisou 1.514 profissionais nas áreas jurídica; tributária, de auditoria e contabilidade; de risco corporativo e fraude; e de funções governamentais, em outubro e novembro de 2025. Quarenta por cento relataram uso de AI generativa em toda a organização, em comparação com 22 por cento na edição anterior. Dezoito por cento relataram que suas organizações coletavam métricas de retorno sobre investimento de AI, e 40 por cento não sabiam se tais métricas eram coletadas [3]. A amostra vai além de transações. Ela fornece evidências de uma lacuna ampla de mensuração em serviços profissionais, e não de um resultado específico de M&A.

Este artigo desenvolve um modelo operacional para diligência devida comercial, diligência devida financeira e diligência devida tecnológica assistidas por AI, abreviadas CDD, FDD e TDD. O modelo começa com a asserção a ser testada. Toda conclusão está conectada a uma fonte, versão, transformação, cálculo ou teste, exceção e revisor. O modelo separa o trabalho generativo do cálculo determinístico e dos testes reproduzíveis. Ele designa pessoas nomeadas para resolver exceções materiais e autorizar conclusões.

O artigo usa princípios selecionados de evidência de auditoria do PCAOB como analogia analítica para FDD. As normas do PCAOB regem as auditorias realizadas dentro de seu escopo; elas não regem todo mandato de diligência devida financeira. A analogia é útil porque distingue a quantidade de evidência de sua relevância e confiabilidade, trata material contraditório como evidência, vincula o poder de persuasão da evidência ao risco e diferencia indagação de recálculo e reexecução [4-6]. O programa de trabalho da transação e o dever contratual permanecem específicos de cada contratação.

Questões de pesquisa

A análise aborda cinco questões:

1. Quais tarefas de CDD, FDD e TDD são adequadas para ingestão, extração, comparação e redação assistidas por AI?
2. Quais cálculos, testes, julgamentos e autorizações devem permanecer determinísticos ou sob controle de especialistas?
3. Como uma equipe de diligência devida pode rastrear cada conclusão material até a evidência e, a partir de uma fonte alterada, avançar até as conclusões afetadas?
4. Quais medidas distinguem redução de tempo decorrido de redução de tempo do revisor e de expansão da cobertura?
5. Quais controles de governança, segurança e direitos de decisão apoiam uma implantação em produção com escopo delimitado?

Conclusão executiva

Análise Matchpoint. AI altera a capacidade de diligência devida mais facilmente do que altera o limite de evidência. A oportunidade imediata é o trabalho em paralelo: ingestão controlada, classificação de primeira passagem, comparação de toda a população, priorização de exceções e redação com citações podem operar enquanto especialistas investigam as questões mais materiais. A unidade operacional adequada é uma asserção, não um documento. Um documento pode sustentar várias asserções, e uma única asserção pode exigir muitos documentos, cálculos, testes e entrevistas.

Análise Matchpoint. Uma implementação controlada contém seis partes. Primeiro, o mandato é traduzido em asserções atômicas com uma regra de materialidade e evidência. Segundo, cada fonte é registrada com identidade, versão, escopo e acesso. Terceiro, extração e classificação criam fatos propostos rastreáveis, e não conclusões finais. Quarto, mecanismos determinísticos realizam aritmética e ferramentas reproduzíveis realizam testes técnicos. Quinto, exceções são encaminhadas a um responsável sob uma política de encerramento definida. Sexto, um revisor autorizado assina a conclusão, e o registro de decisão preserva a base e as limitações.

As palavras "sem perder o rigor" descrevem um objetivo de controle sem resultado de desempenho assegurado. Um piloto deve comparar o fluxo de trabalho assistido com uma linha de base definida usando cobertura de fontes, validade das citações, fidelidade dos cálculos, exceções não resolvidas, tempo do revisor, tempo decorrido, retrabalho e rendimento de pontos de atenção. Alegações de qualidade exigem resultados observados desse piloto. Os retornos de transações permanecem fora das evidências disponíveis para este artigo.

Adoção, eficiência e a lacuna de medição

O que as pesquisas atuais estabelecem

O estudo da KPMG de 2026 é diretamente relevante porque seus respondentes eram decisores seniores de transações. A pesquisa relata implantação em diligência devida, avaliação, originação, execução, integração e conformidade. Também descreve uma mudança no escopo econômico: o menor custo marginal de análise pode tornar mais viável uma revisão contratual mais ampla, benchmarking competitivo e análise de padrões históricos [1]. Trata-se de evidência de profissionais e de pesquisa. Ela sustenta uma hipótese sobre cobertura ampliada. Uma equipe de produção ainda precisa medir a população real processada, as exceções revisadas e a acurácia alcançada.

O número de adoção da pesquisa deve ser lido em conjunto com seu método. Havia 700 respondentes; 519 eram corporativos e 181 eram de empresas de private equity. O trabalho de campo ocorreu de 19 de dezembro de 2025 a 27 de janeiro de 2026. A pesquisa abrangeu 20 países e jurisdições e 10 setores. Os respondentes tinham responsabilidade por, ou envolvimento em, decisões de M&A [1]. Os 56 por cento relatados, portanto, descrevem essa amostra e a definição da pesquisa para implantação de AI agêntica. Não estabelece que 56 por cento de todas as equipes de negócios usem um fluxo de trabalho comparável.

Os achados de eficiência relatados são úteis como sinal de mercado. Não são um certificado de controle de transações. O comunicado de imprensa afirma que 59 por cento relataram ganho de eficiência superior a 10 por cento em inteligência competitiva e análise de mercado. Dezessete por cento relataram ganho de eficiência superior a 25 por cento em modelagem de avaliação e planejamento de cenários e em modelagem e acompanhamento de orçamento [2]. O material divulgado não fornece uma linha de base observada de forma independente para cada respondente, uma definição padrão de trabalho ou uma medida verificada de produção ajustada à qualidade. O artigo, portanto, usa os números para motivar a medição, não para definir metas de Matchpoint.

A Thomson Reuters oferece uma perspectiva mais ampla de serviços profissionais. Sua pesquisa foi online, incluiu 1.514 respondentes em 27 países e triou participantes quanto à familiaridade com AI. A maioria dos respondentes veio dos Estados Unidos, Reino Unido e Canadá. As aplicações comuns incluíam pesquisa, redação e sumarização [3]. Essas tarefas se assemelham a partes da cadeia de produção da diligência devida, particularmente a revisão inicial de documentos e a montagem de relatórios. Os achados de ROI do relatório indicam que a medição formal pode ficar aquém do uso cotidiano.

Quatro formas diferentes de velocidade

Análise Matchpoint. As equipes de diligência devida devem distinguir quatro quantidades. O tempo de processamento computacional mede o tempo usado para ingerir ou analisar um insumo definido. O tempo do revisor registra o esforço humano necessário para configurar, inspecionar, corrigir e aprovar o resultado. O tempo decorrido mede o tempo de calendário entre um evento de início definido e um evento de conclusão definido. A expansão de cobertura registra fontes, registros ou testes adicionais concluídos dentro de um orçamento e cronograma comparáveis.

Um fluxo de trabalho pode reduzir o tempo de processamento computacional e aumentar o tempo do revisor se os resultados criarem muitas exceções de baixo valor. Pode reduzir o tempo do revisor sem alterar o tempo decorrido, porque respostas da gestão ou confirmações externas controlam o caminho crítico. Pode preservar o tempo decorrido enquanto amplia a cobertura da população. Cada resultado é economicamente diferente. Um painel de indicadores piloto deve registrá-los separadamente.

O problema da mensuração

Os achados da Thomson Reuters colocam a questão da mensuração no centro da implementação. Quando apenas 18% dos respondentes relatam coleta de ROI e 40% não sabem se ela ocorre, as estatísticas de adoção fornecem evidências limitadas sobre o valor para o negócio [3]. Uma equipe de transações precisa de métricas vinculadas ao próprio programa de trabalho. Contagens genéricas de uso por funcionários ou tokens consumidos não estabelecem a qualidade da diligência devida.

Análise Matchpoint. A principal unidade de mensuração é o par asserção-procedimento. Para cada asserção material, a equipe registra evidência esperada, fontes recebidas, procedimentos concluídos, exceções levantadas, exceções resolvidas, minutos do revisor, data de conclusão e status de conclusão. As medidas agregadas do programa são construídas a partir desses registros. Isso permite ao revisor identificar se um relatório mais rápido resultou de uma melhoria real do fluxo de trabalho, de escopo reduzido ou de um limite de evidência mais baixo.

O que significa rigor na diligência devida de transações

Suficiência, relevância e confiabilidade

A PCAOB AS 1105 descreve a suficiência como a quantidade de evidência de auditoria e a adequação como sua relevância e confiabilidade [4]. A norma também afirma que a evidência inclui informações que sustentam e corroboram as asserções da administração e informações que as contradizem. Esses são requisitos de auditoria no âmbito da PCAOB. Análise Matchpoint. As mesmas distinções formam uma disciplina útil de concepção de diligência devida.

Um data room grande pode ser insuficiente para uma questão material. Dez versões de uma previsão de mercado preparada internamente podem ter menos valor probatório do que um conjunto menor de fontes independentes, atuais e alinhadas ao perímetro. Uma exportação de razão pode estar completa como arquivo e incompleta como população se entidades, períodos ou lançamentos contábeis forem omitidos. Uma varredura de repositório pode processar todos os arquivos e permanecer irrelevante para a arquitetura de produção se a revisão fornecida diferir do código implantado.

Análise Matchpoint. Cada asserção deve, portanto, definir um limiar de evidência em quatro dimensões:

• Cobertura: quais entidades, períodos, clientes, produtos, repositórios ou ambientes estão no escopo.
• Relevância: em que medida a fonte e o procedimento tratam da asserção.
• Confiabilidade: independência da fonte, controles, originalidade, linhagem e suscetibilidade a alteração.
• Atualidade: a data em que a evidência é válida e o evento que faz com que ela expire.

Evidência ponderada por risco

A PCAOB AS 2301 vincula risco avaliado mais elevado a evidência mais persuasiva e exige procedimentos que abordem asserções relevantes [5]. Ela também descreve o ceticismo profissional como uma mentalidade questionadora e uma avaliação crítica da evidência. Análise Matchpoint. Um fluxo de trabalho de diligência devida pode adaptar esse princípio por meio de uma pontuação de risco da asserção que rege a evidência mínima e a senioridade do revisor.

Asserções de alta materialidade podem exigir uma fonte independente, recálculo determinístico, revisão especializada ou teste direto. Asserções de menor materialidade podem ser encerradas com uma fonte interna documentada e verificação de plausibilidade. A pontuação não automatiza o julgamento. Ela torna visível o nível de trabalho pretendido e permite que desvios sejam aprovados.

Indagação, extração, recálculo e reexecução

Uma declaração obtida em entrevista é indagação. Um resumo AI dessa entrevista continua sendo uma declaração derivada de indagação. Ele não se torna corroboração por meio de redação fluente. A AS 1105 declara que a indagação isolada é insuficiente para sustentar uma conclusão de auditoria dentro do escopo da norma [4]. Um mandato de transação pode aplicar um limite diferente. A distinção subjacente continua valiosa.

O recálculo verifica a exatidão matemática. A reexecução executa procedimentos ou controles de forma independente [4]. Análise Matchpoint. A FDD deve usar recálculo determinístico para pontes e índices materiais. A TDD deve usar testes reproduzíveis quando o acesso e o mandato permitirem. A CDD pode usar triangulação independente de mercado, análise de dados de clientes, evidências contratuais e entrevistas com diferentes grupos de partes interessadas.

O grafo de evidências

Matchpoint análise. Um relatório de diligência devida deve funcionar como uma visão sobre um grafo de evidências. O grafo contém nós para asserções, fontes, versões de fontes, fatos extraídos, transformações, cálculos, testes, exceções, conclusões e revisores. As arestas registram relacionamentos como sustenta, contradiz, derivado de, testado por, substitui, revisado por e encerrado por.

Essa estrutura oferece suporte a duas formas de rastreabilidade. A rastreabilidade reversa parte de uma frase do relatório até a conclusão, o procedimento, o fato e a fonte. A rastreabilidade direta começa com uma fonte alterada ou retirada e identifica todos os fatos, cálculos, exceções e frases de relatório afetados. Pastas e notas de rodapé convencionais oferecem rastreabilidade reversa parcial. Um grafo acrescenta visibilidade de dependências.

Um modelo operacional em três disciplinas diferentes

CDD, FDD e TDD examinam diferentes famílias de assertivas. Elas podem compartilhar um sistema de ingestão, evidências, exceções e aprovação final. A infraestrutura compartilhada reduz a duplicação enquanto preserva os limites profissionais.

Sequência comum

Análise Matchpoint. A sequência comum tem oito etapas:

1. Mandato: definir questões de decisão, escopo, materialidade, jurisdições, confiança e exclusões.
2. Mapa de assertivas: converter perguntas em afirmações testáveis com limiares de evidência.
3. Registro de fontes: gerar hash, identificar, datar, classificar e atribuir permissões a cada objeto de origem.
4. Extração controlada: produzir fatos propostos com localizações na fonte e metadados de confiança.
5. Análise: executar cálculos determinísticos, testes reproduzíveis e triangulação de fontes.
6. Triagem de exceções: classifique contradições, evidências ausentes, variações e testes reprovados.
7. Revisão especializada: valide métodos, evidências e julgamento sob autoridade nomeada.
8. Registro de decisão: publique a conclusão, limitações, questões não resolvidas e aprovação final.

Controles compartilhados

Os controles compartilhados incluem acesso por função e negócio; segregação de espaços de trabalho confidenciais; hashes e versões de fontes; controles contra perda de dados; inventário aprovado de modelos e ferramentas; versionamento de prompts e configurações; logs; conjuntos de avaliação; propriedade de exceções; retenção; procedimentos de incidentes; e autorização humana. O RMF AI do NIST fornece uma estrutura voluntária Govern, Map, Measure and Manage para este trabalho [7]. O Perfil Generative AI do NIST identifica riscos de confabulação, privacidade, integridade da informação, segurança e configuração humana-AI diretamente relevantes para trabalhos com uso intensivo de evidências [8].

Fronteiras profissionais distintas

O modelo operacional comum não funde responsabilidades profissionais. Especialistas comerciais decidem se as evidências de mercado e de clientes sustentam a tese de investimento. Especialistas em contabilidade e serviços de transação decidem o tratamento de lucros, dívida, capital de giro, impostos e questões contábeis. Especialistas em tecnologia e cibersegurança interpretam arquitetura, segurança, entrega e dívida técnica. O jurídico determina a lei aplicável e as conclusões jurídicas. O comitê de investimentos é responsável pela decisão de investimento.

Diligência devida comercial

Famílias de afirmações

Análise Matchpoint. As afirmações comerciais normalmente dizem respeito ao tamanho e ao crescimento do mercado; à definição de segmento; às necessidades e à troca de clientes; à concentração e à retenção; à diferenciação de produto; ao poder de precificação; à rota para o mercado; à resposta competitiva; à exposição regulatória; e à credibilidade da previsão comercial. Cada afirmação exige um perímetro. Uma taxa de crescimento sem geografia, período, segmento, moeda e base nominal ou real é evidência incompleta.

AI é adequado para descoberta de fontes, extração estruturada, alinhamento de taxonomias, codificação de entrevistas, comparação de termos contratuais e síntese preliminar. Ele pode alinhar afirmações entre relatórios de mercado e identificar onde as definições diferem. Ele pode agrupar temas de entrevistas com clientes e vincular cada tema à transcrição subjacente. Ele pode comparar alegações de produto com funcionalidades documentadas e compromissos contratuais.

Triangulação de mercado

Análise Matchpoint. Um modelo de mercado deve preservar a definição e a data de cada fonte. A camada AI pode mapear taxonomias de fontes para a taxonomia da transação e sinalizar categorias sem correspondência. A camada determinística executa conversões e agregação. O especialista decide se um mapeamento é economicamente válido.

Por exemplo, uma empresa-alvo pode descrever seu mercado endereçável como software empresarial regional. Fontes externas podem classificar a receita por setor, porte do cliente, modelo de implantação ou geografia. Um resumo gerado pode ocultar essas diferenças. O grafo de evidências deve preservá-las. A conclusão pode apresentar um intervalo, um cenário ou uma limitação de escopo quando as definições não puderem ser reconciliadas.

Evidências de clientes e receita

Dados em nível de cliente podem apoiar análises de concentração, retenção, coorte, venda cruzada e precificação. A camada AI pode propor normalização de nomes de clientes, extração de campos contratuais e codificação de temas. Cálculos determinísticos devem produzir concentração de receita, retenção bruta e líquida, pontes de coorte e análise de preço-volume-mix segundo regras documentadas.

Análise Matchpoint. Toda proposta de normalização deve preservar os valores originais e a regra de mapeamento. Fusões relevantes de clientes, parceiros de canal, revendedores e receita de repasse precisam de revisão especializada. Um modelo que agrupa nomes semelhantes pode criar uma família de clientes plausível, mas incorreta. O fluxo de trabalho deve direcionar mapeamentos incertos ou de alto valor para uma fila de exceções.

Concorrência e regulação

A análise de concorrência é específica por jurisdição. As Diretrizes de Fusão de 2023 do DOJ e da FTC dos EUA fornecem uma estrutura oficial dos EUA e ferramentas analíticas, econômicas e probatórias [11]. Elas não definem a análise jurídica para toda transação. O advogado deve determinar as jurisdições relevantes, os regimes de notificação e as conclusões jurídicas.

Análise Matchpoint. O AI pode auxiliar na construção de um conjunto datado de evidências de concorrentes, na comparação de alegações de produto e de precificação e no rastreamento de insumos de participação de mercado. Ele deve rotular a proveniência das fontes e preservar evidências divergentes. A caracterização jurídica e as decisões sobre privilégio permanecem com o advogado.

Resultado da CDD

Um resultado controlado da CDD inclui a afirmação, o perímetro, as evidências recebidas, o método, a constatação, as evidências contrárias, a sensibilidade, a limitação e o revisor. O relatório pode então distinguir uma observação histórica verificada, uma estimativa da administração, uma previsão externa e um cenário Matchpoint. Essa separação é especialmente importante quando a tese de investimento depende do crescimento futuro.

Diligência devida financeira

Linhagem de dados e conciliação

A FDD começa com o controle de população. A equipe deve identificar entidades, livros-razão, períodos, moedas, estruturas de contas, ajustes de consolidação e a relação entre contas gerenciais, demonstrações financeiras estatutárias e planilhas da transação. O AI pode propor mapeamentos de campos e identificar prováveis duplicatas ou períodos ausentes. Um processo determinístico deve contar registros, totalizar campos de controle, aplicar hash às entradas e reconciliar as saídas.

A norma PCAOB AS 2301 estabelece, no âmbito da auditoria, que os procedimentos substantivos de encerramento do período incluem a reconciliação das demonstrações financeiras com os registros contábeis subjacentes e o exame de ajustes materiais [5]. Análise Matchpoint. Um programa de trabalho de diligência devida pode usar isso como analogia de design: métricas derivadas devem se conectar à população contábil fornecida, e todas as transformações materiais devem ser visíveis.

Qualidade dos lucros

AI pode extrair ajustes EBITDA propostos pela administração, classificar documentos comprobatórios e comparar narrativas entre versões. Pode sugerir se um item se assemelha a custo não recorrente, economia de run-rate, despesa de proprietário, ajuste de receita ou diferença de política contábil. O especialista determina a categoria do ajuste, o suporte probatório, o período, o efeito fiscal e o tratamento.

Análise Matchpoint. A ponte determinística deve começar com uma medida definida de lucro reportado, aplicar ajustes identificados separadamente, preservar reversões e calcular a medida ajustada. Cada ajuste se conecta à evidência de origem e ao status do revisor. O texto gerado explica uma ponte calculada; não calcula a ponte.

Capital de giro e dívida líquida

Cronogramas de capital de giro e dívida líquida frequentemente contêm julgamento de classificação, padrões sazonais, questões de cut-off e questões de definição da transação. AI pode extrair definições contratuais e propor mapeamentos de contas. Código determinístico ou lógica controlada de planilha deve calcular saldos mensais, faixas de normalização, sazonalidade, itens assemelhados a caixa e a dívida e casos de sensibilidade.

O contrato de compra e venda e o assessoramento contábil aplicável regem a definição da transação. Um modelo pode comparar minutas de cláusulas e cronogramas. Assessores jurídicos e especialistas financeiros aprovam sua interpretação. O IFRS 3 estabelece princípios para reconhecimento e mensuração de ativos e passivos adquiridos, goodwill ou compra vantajosa e divulgações relacionadas quando a norma se aplica [14]. A contabilização da transação permanece separada do modelo de diligência.

Projeção e conversão de caixa

A diligência de projeções conecta direcionadores históricos às premissas da administração. AI pode mapear premissas narrativas para entradas do modelo e sinalizar descrições inconsistentes. A análise determinística deve calcular conversão histórica, pontes de direcionadores, sensibilidades e resultados de cenários. A equipe comercial testa premissas de demanda e preços; a equipe financeira testa margem, capital de giro, despesas de capital e consequências de caixa.

Hierarquia de evidências e ceticismo

Análise Matchpoint. Uma hierarquia de evidências financeiras pode classificar de forma diferente, conforme a afirmação, a confirmação bancária direta ou de terceiros, dados de sistemas controlados, contratos e faturas originais, cronogramas da administração, entrevistas e resumos gerados. A hierarquia é específica do trabalho. Deve ser documentada antes da formação de conclusões.

A orientação da PCAOB afirma que risco mais alto exige evidência mais persuasiva e que a indagação isolada não fornece evidência suficiente para as conclusões de auditoria citadas [4,5]. No contexto de FDD, a lição prática é preservar a distinção entre explicação e corroboração. O comentário da administração pode explicar uma variação. Registros de origem, cálculos ou evidência independente podem ser necessários para encerrá-la no âmbito do programa de trabalho acordado.

Diligência devida de tecnologia e AI

Domínios de evidências de tecnologia

Análise Matchpoint. A TDD abrange arquitetura de produto, repositórios de software, nuvem e infraestrutura, segurança cibernética, arquitetura de dados, processos de engenharia e release, resiliência de serviços, dependências de terceiros, propriedade intelectual, licenças, organização técnica e custo de escala. Quando o alvo desenvolve ou implanta AI, o escopo se expande para modelos, dados de treinamento e avaliação, prompts, fontes de recuperação, conjuntos de avaliação, controles de segurança, monitoramento, dependências de fornecedores e gestão de mudanças de modelo.

A evidência documental é necessária e incompleta. Os diagramas de arquitetura descrevem a estrutura pretendida. As exportações de configuração e as evidências do repositório mostram a estrutura implementada. Os testes e os logs operacionais mostram o comportamento observado em um momento e ambiente. As entrevistas explicam decisões e limitações conhecidas. O relatório deve preservar essas classes de evidência.

Linhagem de desenvolvimento seguro e da cadeia de suprimentos

A NIST SP 800-218A complementa as práticas de desenvolvimento seguro de software com considerações específicas para AI e destina-se a produtores de modelos, produtores de sistemas AI e adquirentes [9]. A orientação de segurança para AI liderada pelo NCSC organiza práticas em design seguro, desenvolvimento, implantação e operação e manutenção. Também aborda cadeia de suprimentos, documentação, modelos e dados, registro de logs e gestão de incidentes [10].

Análise Matchpoint. Um registro de diligência devida de alvo AI deve identificar o modelo ou serviço, provedor, versão, uso pretendido, componentes do sistema, status de treinamento ou ajuste fino, evidência de avaliação, fontes de recuperação, direitos sobre dados, ambiente de implantação, acesso, monitoramento, incidentes e processo de mudança. Quando o acesso permitir, a equipe deve vincular esse inventário a repositórios, manifestos, cartões de modelo, listas de materiais, configuração, testes e logs.

Testes reproduzíveis

AI pode propor casos de teste, explicar resultados e classificar achados. Um registro de teste reproduzível deve preservar a revisão do alvo, o ambiente, o comando ou procedimento, a versão da ferramenta, as entradas, o carimbo de data/hora, a saída bruta, a regra de severidade e o revisor. A reprodução pode ser limitada por acesso, segurança de produção, sensibilidade dos dados ou tempo. O relatório deve indicar essas limitações.

Um achado de scanner de vulnerabilidades não estabelece, por si só, explorabilidade ou impacto nos negócios. Uma varredura limpa não estabelece a ausência de vulnerabilidades. A revisão especializada conecta o resultado observado à arquitetura, à exposição, aos controles compensatórios e à materialidade da transação.

Divulgações de dados, privacidade e cibersegurança

O Perfil de AI Generativa da NIST identifica riscos de privacidade e segurança da informação, incluindo vazamento, inferência e interação maliciosa com sistemas AI [8]. A orientação do NCSC recomenda o tratamento seguro de modelos, dados, infraestrutura e logs [10]. O guia de conformidade atual da SEC para pequenas entidades resume os requisitos de divulgação de incidentes cibernéticos e de gestão de riscos, estratégia e governança de empresas de capital aberto dos EUA [15]. Sua relevância depende do status do emissor e da jurisdição.

O marco federal de dados pessoais UAE pode ser relevante para uma transação ou data room UAE. O acesso à página oficial da legislação foi restrito ao navegador de pesquisa durante este estudo, portanto este artigo não faz nenhuma proposição jurídica detalhada a partir de seu texto [13]. Assessoria jurídica qualificada deve determinar os requisitos federais, de zona franca, setoriais e transfronteiriços.

Exposição a AI como uma questão de investimento

A diligência devida de tecnologia agora inclui a exposição do alvo a AI como força competitiva e dependência operacional. A análise da PwC sobre as 100 maiores transações corporativas de M&A em 2025 relata que aproximadamente um terço citou AI na justificativa estratégica [17]. Esta amostra selecionada não representa todo o mercado. Ela indica que AI pode ser tanto uma ferramenta de execução quanto um objeto de diligência devida.

Análise Matchpoint. A questão de investimento tem pelo menos quatro partes: se AI altera a disposição do cliente a pagar; se reduz barreiras de entrada ou diferenciação; se o alvo depende de fornecedores concentrados de modelos ou de nuvem; e se o alvo tem direitos, controles e evidências para seu próprio sistema AI. Essas questões exigem colaboração comercial, técnica e jurídica.

Arquitetura Controlada

Plano de dados de transação

Análise Matchpoint. O plano de dados da transação armazena objetos de origem originais e derivados registrados dentro de um limite de segurança específico da operação. Cada objeto recebe um identificador, hash criptográfico, origem, data de recebimento, data do documento, entidade, período, classe de confidencialidade e regra de acesso. Novas versões não substituem versões antigas. O sistema registra a substituição e as conclusões afetadas.

Dados pessoais, de clientes, de funcionários, de precificação e técnicos sensíveis só devem entrar em sistemas aprovados no âmbito do mandato e da legislação aplicável. Ferramentas de consumo públicas podem estar fora do limite aprovado. A implementação deve documentar a retenção do provedor de modelo, o uso para treinamento, a região, os subprocessadores e o acesso. A equipe jurídica e os responsáveis pela segurança da informação determinam a configuração aceitável.

Ingestão e recuperação

Os arquivos são verificados, analisados e indexados com base em uma lista de permissões. O pipeline de ingestão deve preservar referências de página, célula, registro ou localização de código. A extração de tabelas exige validação específica porque a estrutura visual pode ser perdida. Injeção de prompt e conteúdo incorporado malicioso são tratados como ameaças de entrada. A recuperação retorna apenas fontes autorizadas para o usuário e a transação.

Análise Matchpoint. A resposta gerada deve conter indicadores de evidência no nível da afirmação. Uma citação a um documento inteiro de 200 páginas pode ser muito ampla para uma conclusão relevante. A interface deve permitir que o revisor abra o trecho exato, a linha da tabela, a entrada de cálculo ou o registro de teste.

Análises determinísticas

A camada determinística realiza aritmética, agregação, conciliação e análise estatística definida. Ela deve ter controle de versão e ser testada. Entradas e saídas mantêm hashes e carimbos de data/hora. Cálculos relevantes têm totais esperados, verificações de razoabilidade e status de conciliação.

O modelo de linguagem pode propor código ou lógica de fórmula. O código aprovado executa o cálculo. Um especialista revisa o método e o resultado relevante. Essa fronteira aborda um risco central: explicações fluentes podem fazer um número incorreto parecer crível.

Geração e aprovação

A camada de geração produz rascunhos a partir de evidências autorizadas e saídas determinísticas. Os prompts especificam a pergunta, o perímetro de evidências, as citações exigidas, a inferência proibida e o esquema de saída. O modelo e a configuração são registrados. Afirmações sem suporte, conflitos entre fontes e evidências insuficientes devem gerar exceções.

NIST descreve a confabulação como uma saída plausível que pode ser factualmente imprecisa ou internamente inconsistente e observa que citações geradas podem ser falsas [8]. Também identifica o viés de automação, em que as pessoas confiam excessivamente na saída automatizada. Portanto, uma interface de revisão deve mostrar as evidências antes do refinamento estilístico e exigir um status explícito de conclusão.

Fila de exceções

Análise Matchpoint. As exceções incluem populações de origem ausentes, conciliações malsucedidas, evidências contraditórias, extração de baixa confiança, entidades não correspondidas, valores atípicos relevantes, testes malsucedidos, fontes expiradas, violações de permissão e questões jurídicas ou contábeis não resolvidas. Cada exceção tem gravidade, responsável, data de vencimento, status, tipo de resolução e evidência.

Os tipos de resolução permitidos são corroborado, corrigido, fora do escopo, aceito, escalado ou aberto. Um relatório deve divulgar exceções relevantes abertas ou aceitas. Excluir uma exceção da interface não é uma resolução.

Mapa de Riscos e Controles

Confabulação e erro de citação

O texto gerado pode conter fatos, lógica ou citações sem suporte [8]. Os controles incluem recuperação de um corpus aprovado, citações no nível da afirmação, abertura da fonte, fatos determinísticos, regras de abstenção, conjuntos de avaliação e aprovação do revisor. Conclusões materiais devem ser bloqueadas por padrão quando a evidência exigida estiver ausente.

Erro de escopo e população

Um resultado aparentemente completo pode se basear em um conjunto incompleto de fontes. Os controles incluem manifestos de entidade-período, contagens de fontes, reconciliação da população esperada, inventário de hashes de arquivos, detecção de duplicatas e alertas de alteração. As medidas de cobertura usam a população esperada como denominador.

Erro numérico

Modelos de linguagem podem aplicar incorretamente aritmética, unidades ou períodos. Os controles incluem cálculo determinístico, verificações de tipo e unidade, totais de controle, recálculo independente e lógica versionada. O texto do relatório cita o registro de cálculo.

Privacidade, confidencialidade e privilégio legal

Salas de transação contêm informações sensíveis. Os controles incluem isolamento de negócios, privilégio mínimo, endpoints aprovados, configurações de retenção, avaliação regional e de transferência, protocolos de privilégio legal, ocultação quando autorizada, logs e resposta a incidentes. O departamento jurídico determina o escopo legal.

Injeção de prompt e conteúdo malicioso

Documentos e fontes da web podem conter instruções destinadas a redirecionar um sistema AI. Os controles incluem sanitização de conteúdo, separação de dados e instruções, listas de ferramentas permitidas, permissões restritas, validação de saída e revisão humana. Uma fonte de recuperação não recebe autoridade de execução.

Mudança de modelo e fornecedor

O comportamento do modelo, os termos do provedor e os componentes podem mudar. Os controles incluem inventário, registro de versão ou lançamento, avaliação em caso de alteração, alternativas aprovadas, avaliação de concentração e procedimentos de reversão. Materiais do NIST e do NCSC apoiam a governança do ciclo de vida e da cadeia de suprimentos [7-10].

Dependência excessiva humana

O NIST identifica o viés de automação como um risco de configuração humano-AI [8]. Os controles incluem treinamento de revisores, interfaces que priorizam evidências, verificações independentes para alegações de alto risco, incerteza explícita e auditoria do comportamento de aprovação. Revisores seniores devem ser responsáveis por famílias de conclusões definidas.

Revisão humana e direitos de decisão

Autoridade designada

Matchpoint análise. Toda afirmação relevante deve ter um preparador, um revisor e um responsável pela conclusão. O preparador pode operar o fluxo de trabalho AI. O revisor examina evidências e método. O responsável pela conclusão aceita a afirmação para o relatório. As funções podem ser combinadas para trabalhos de baixo risco no âmbito do mandato. Conclusões de alto risco podem exigir um revisor independente ou sênior.

Ceticismo profissional na interface

O fluxo de trabalho deve tornar a contradição visível. As normas do PCAOB descrevem evidências que apoiam e contradizem as afirmações da administração e vinculam o ceticismo profissional à avaliação crítica [4,5]. Matchpoint análise. Uma interface deve exibir, em conjunto, evidências de apoio, evidências contrárias, lacunas não resolvidas e confiabilidade da fonte. Caso contrário, uma única narrativa gerada pode suprimir divergências.

Direitos de decisão por tipo de resultado

Certificado de aprovação

Análise do Matchpoint. O registro de liberação do relatório deve identificar a versão do mandato, a data de corte das fontes, exceções abertas relevantes, versões de modelos e ferramentas, versões de cálculos e testes, revisores, horário de aprovação e distribuição. Se a sala de dados mudar após a data de corte, a rastreabilidade prospectiva identifica conclusões que precisam ser atualizadas.

Concepção e mensuração do piloto

Linha de base antes da automação

Um piloto exige uma linha de base que use a mesma definição de trabalho. A equipe deve selecionar um módulo delimitado, definir sua população esperada de fontes, procedimentos, resultados e materialidade, e medir o tempo decorrido atual e o tempo do revisor. Registros históricos de tempo podem estar incompletos ou inconsistentes. Quando a linha de base depender de estimativas da administração, ela deve ser rotulada como `Premissas hipotéticas de modelagem.` até ser observada.

Piloto em modo sombra

Análise do Matchpoint. O modo sombra executa o fluxo de trabalho assistido pelo AI em paralelo ao processo convencional autorizado. O resultado assistido não controla o relatório em produção. Os revisores comparam cobertura de fontes, fatos, cálculos, exceções e conclusões. É necessário um conjunto de benchmark rotulado para estimativas de precisão e de falsos negativos.

Módulos iniciais adequados incluem extração de campos de contratos, normalização de nomes de clientes, inventariação da sala de dados, indexação de evidências de ajustes recorrentes ou inventário de dependências. O módulo deve ser relevante o suficiente para testar controles e delimitado o suficiente para ser revisado por completo.

Dicionário de medição

Etapas de aprovação

Matchpoint análise. Um piloto só avança quando os critérios aprovados das etapas forem atendidos. A Etapa 1 confirma dados e autoridade legal. A Etapa 2 confirma controles de fonte e cálculo. A Etapa 3 confirma precisão e desempenho em exceções no benchmark. A Etapa 4 confirma o fluxo de trabalho do revisor e a prontidão para incidentes. A Etapa 5 autoriza produção controlada para um módulo nomeado. A Etapa 6 revisa evidências de produção antes da expansão do escopo.

O piloto deve definir condições de parada, como divulgação não autorizada, divergência material de cálculo, evidências inacessíveis, comportamento instável do modelo ou desempenho inaceitável de falsos negativos no benchmark. As condições de parada são controles operacionais e exigem aprovação local.

Comprar, Construir ou Terceirizar

Dimensões da decisão

A escolha operacional depende de confidencialidade, complexidade das fontes, integração, métodos personalizados, capacidade interna de engenharia, necessidades de asseguração, concentração de fornecedores, velocidade e custo total. Uma plataforma comercial de data room ou de diligência pode oferecer ingestão e colaboração maduras. O desenvolvimento interno pode viabilizar métodos proprietários e integração. Um prestador de serviços pode combinar tecnologia com revisão especializada.

O material do fornecedor pode descrever capacidades. Ele não estabelece de forma independente a precisão nem o valor econômico. A página do serviço de diligência em tecnologia da PwC é uma descrição por um profissional dos domínios atuais [18]. O comprador deve avaliar o produto real, a implantação, os controles, o contrato e as evidências em relação ao seu mandato.

Perguntas de diligência devida sobre fornecedores

A diligência devida de fornecedores deve abranger retenção de dados e uso para treinamento; separação de locatários e isolamento; criptografia e chaves; administração de acessos; subprocessadores; regiões e transferências; inventário de modelos e componentes; registro de prompts e saídas; mudanças de versão; avaliação; histórico de incidentes; resiliência; exclusão; exportação; direitos de auditoria; propriedade intelectual; responsabilidade; e suporte à rescisão. AI fornecedores que desenvolvem modelos também devem ser avaliados em relação a práticas relevantes de desenvolvimento seguro e de cadeia de suprimentos [9,10].

Caso econômico

Análise Matchpoint. O caso econômico deve comparar o custo de implementação e operação com o tempo dos revisores, o tempo decorrido quando economicamente relevante, a expansão da cobertura, o retrabalho evitado e o volume de questões úteis para a decisão. O custo da licença isoladamente subestima a exigência operacional. Desenho de controles, preparação de dados, revisão especializada, avaliação e gestão de mudanças são custos recorrentes.

Matchpoint Roteiro de implementação

Fase 0: mandato e autoridade

Defina o módulo de transação, as jurisdições, as classes de dados, a confiança, a materialidade, os usuários dos resultados e os direitos de decisão. Obtenha aprovações de segurança da informação, privacidade, jurídicas e de contratação. Registre sistemas proibidos e ações proibidas.

Fase 1: fundamento de afirmações e evidências

Crie o mapa de afirmações, o manifesto de fontes, a taxonomia de evidências, as categorias de exceção e as funções de aprovação final. Estabeleça cálculos determinísticos ou testes reproduzíveis para o módulo selecionado. Meça a linha de base convencional.

Fase 2: piloto sombra

Execute o fluxo de trabalho assistido sem autorização de produção. Construa um conjunto de avaliação rotulado a partir de fontes representativas e casos extremos conhecidos. Revise todos os resultados materiais. Registre citações, erros, exceções não detectadas, tempo do revisor e retrabalho.

Fase 3: produção controlada

Autorize um módulo nomeado, grupo de usuários, limite de dados e versão de modelo. Mantenha as conclusões do relatório sujeitas à aprovação humana. Monitore medidas de qualidade e segurança. Preserve o mecanismo de contingência convencional.

Fase 4: integração entre frentes de trabalho

Conecte asserções de CDD, FDD e TDD quando a tese de investimento depender de fatos compartilhados. Exemplos incluem retenção de clientes e qualidade da receita; roteiro de produto e crescimento projetado; arquitetura de nuvem e margem bruta; remediação cibernética e dívida líquida ou ajuste de preço. Mantenha a responsabilidade dos especialistas pelas conclusões.

Fase 5: aprendizado de portfólio

Armazene estruturas precedentes desidentificadas ou autorizadas, taxonomias de problemas e casos de avaliação sujeitos a confidencialidade e contrato. Compare o desempenho do processo entre engajamentos usando definições consistentes. O aprendizado de portfólio não deve expor evidências confidenciais de uma transação a outra.

Matchpoint Análise de Cenários

Status do cenário

O cenário a seguir é `[Matchpoint análise de cenários]`. É ilustrativo, não verificado e não descreve um engajamento Matchpoint observado. Os valores exigem substituição por uma linha de base aprovada e resultados do piloto antes de qualquer alegação comercial.

Módulo ilustrativo

Suponha que uma frente de trabalho de aquisição de médio porte receba 1.200 objetos de origem em CDD, FDD e TDD. O piloto seleciona três módulos delimitados: extração de campos de contratos de clientes; indexação de evidências de ajuste EBITDA; e inventário de dependências de software. O programa de trabalho convencional e a materialidade permanecem fixos. Os especialistas mantêm todas as conclusões.

O fluxo de trabalho assistido registra todos os objetos recebidos, realiza extração controlada, vincula fatos propostos a localizações de origem e encaminha exceções. Código determinístico calcula concentração de clientes e pontes de ajuste. Ferramentas aprovadas produzem o inventário de dependências. Os revisores inspecionam todos os resultados de alta materialidade e uma amostra definida de resultados de menor materialidade.

Scorecard ilustrativo

Regra de decisão

Análise do Matchpoint. A aprovação para produção exige qualidade satisfatória das evidências, aprovação de segurança da informação, carga de trabalho aceitável dos revisores e resposta a incidentes testada. Uma economia de tempo não prevalece sobre uma etapa de aprovação de qualidade ou segurança reprovada. A expansão da cobertura pode justificar a adoção mesmo quando o tempo decorrido permanecer inalterado, sujeita a um caso econômico aprovado.

Limitações e agenda de pesquisa

Este artigo tem seis limitações materiais. Primeiro, as evidências mais diretamente relevantes sobre adoção e eficiência são evidências de pesquisa autorrelatadas. Elas não observam de forma independente o tempo de ciclo da transação, erros, qualidade ou retornos. Segundo, a amostra da Thomson Reuters abrange várias profissões e não isola as principais métricas para diligência de transações. Terceiro, o artigo usa princípios de auditoria do PCAOB por analogia; um mandato de FDD não é uma auditoria estatutária e pode ter objetivos, limiares de evidência e confiança diferentes.

Quarto, os sistemas AI, os termos dos fornecedores e os controles corporativos mudam. Um artigo datado de julho de 2026 não pode substituir a diligência devida atual sobre fornecedores e configuração. Quinto, requisitos legais, de privacidade, contábeis, fiscais, de concorrência e de divulgação dependem das partes, da estrutura da transação e da jurisdição. Este artigo não é aconselhamento profissional. Sexto, o modelo operacional e o cenário do Matchpoint são propostas analíticas. Seus efeitos de produtividade e qualidade exigem evidências de piloto controlado.

Pesquisas futuras devem relatar o tempo ajustado pela qualidade por módulo de diligência; comparar a extração de toda a população com a amostragem especializada; construir benchmarks de exceções rotuladas; estudar a dependência excessiva dos revisores e o design da interface; medir o custo de manutenção do grafo de evidências; analisar arquiteturas transfronteiriças de salas de dados; e examinar se a visibilidade mais precoce dos problemas altera o preço, a estrutura, as condições ou os planos pós-fechamento. A análise de retorno da transação exigiria controles cuidadosos para fatores de seleção, mercado e execução.

Conclusão

A diligência assistida por AI já é visível na prática de mercado relatada. A pesquisa da KPMG indica adoção em diligência e avaliação e eficiência relatada pelos respondentes em tarefas analíticas [1,2]. A Thomson Reuters documenta ampla adoção em serviços profissionais e uma base relatada muito menor de mensuração formal do ROI [3]. A combinação sustenta uma questão de implementação disciplinada: como o fluxo de trabalho deve ser projetado e mensurado?

Análise do Matchpoint. A resposta começa com asserções e evidências. Registre a população de origem. Preserve a proveniência e a contradição. Use AI para ingestão, extração, comparação, triagem e redação controladas. Use sistemas determinísticos para cálculos financeiros e ferramentas reproduzíveis para testes técnicos. Encaminhe incertezas e falhas para uma fila de exceções com responsável definido. Atribua especialistas e tomadores de decisão autorizados às conclusões.

O sistema resultante pode ser testado. Cobertura de fontes, validade das citações, fidelidade dos cálculos, desempenho de exceções, tempo dos revisores, tempo decorrido, retrabalho e rendimento de problemas criam um registro mensurável. Alegações sobre compressão de tempo ou qualidade podem então ser fundamentadas no piloto nomeado. Até que essas evidências existam, elas permanecem hipóteses.